2定级指南和基本要求培训

等级保护培训信息安全等级保护定级指南要点公安部信息安全等级保护评估中心2内容一．基本概念和定级要素二．定级方法和流程三．备案工作要点系统定级工作的部署2007年《关于开展全国重要信息系统安全等级保护定级工作的通知》（公通字[2007]861号）全国重要信息系统安全等级保护定级工作开展以来，各地区、各部门高度重视，按照定级工作的要求，认真组织落实，到2009年,基本完成了定级工作任务。334一、基本概念和定级要素信息系统根据什么定级？定什么级？风险评估结果-风险定级安全测评结果-保护强度定级信息保密性、完整性和可用性影响-安全影响定级重要程度定级：根据信息系统在国家安全、经济建设、社会生活中的重要程度，信息系统遭到破坏后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定信息系统重要程度等级55信息系统级别信息系统重要性安全保护能力级别第一级一般信息系统一级安全保护能力第二级一般信息系统二级安全保护能力第三级重要信息系统三级安全保护能力第四级重要信息系统四级安全保护能力第五级重要信息系统未公布6一、基本概念和定级要素客体受法律保护的、等级保护对象受到破坏时所侵害的社会关系，如国家安全、社会秩序、公共利益以及公民、法人或其他组织的合法权益。7一、基本概念和定级要素要素一：受侵害的客体要素二：对客体的侵害程度要素与等级的关系（定级方法）8一、基本概念和定级要素受侵害的客体公民、法人和其他组织的合法权益社会秩序和公共利益国家安全9一、基本概念和定级要素对客体的侵害程度等级保护对象受到破坏后对客体造成侵害的程度归结为以下三种：造成一般损害造成严重损害造成特别严重损害。10一、基本概念和定级要素侵害客体对客体的侵害程度一般损害严重损害特别严重损害公民、法人和其他组织的合法权益第一级第二级第二级社会秩序、公共利益第二级第三级第四级国家安全第三级第四级第五级11内容一．基本概念和定级要素二．定级方法和流程三．备案工作要点12二、定级方法和流程=+信息系统的安全信息的安全系统服务的安全分解信息系统安全：13二、定级方法和流程综合评定对客体的侵害程度确定业务信息安全受到破坏时所侵害的客体综合评定对客体的侵害程度确定系统服务安全受到破坏时所侵害的客体系统服务安全等级定级对象的安全保护等级依据表2依据表3确定定级对象第一步第二步第三步第四步第五步业务信息安全等级14二、定级方法和流程第一步：确定定级对象定级对象应当具备以下条件：具有唯一确定的安全责任单位具有信息系统的基本特征并执行一致的安全策略承载单一或相对独立的业务应用关于定级对象确定处理不同类型业务的系统。本身运行在不同的网络环境中的系统。分不开的系统，按照高级别保护。151516二、定级方法和流程第二步：确定侵害客体业务信息受到破坏后的侵害客体系统服务受到破坏后的侵害客体多种信息和多种服务系统的处理17二、定级方法和流程借鉴CIIP方法，分析信息系统的重要性分析定级系统所在单位的行业/领域重要性分析定级系统所在单位不能行使职能、功能丧失或不能提供产品和服务，可能对其他行业造成的影响分析定级系统所承担的业务职能、功能或通过该信息系统产生的产品和服务在本行业/本领域地位、作用进一步分析信息系统内的信息和服务18二、定级方法和流程第三步：确定对客体的侵害程度业务信息受到破坏后对客体的侵害程度系统服务受到破坏后对客体的侵害程度多种信息和多种服务系统的处理二、定级方法和流程借鉴威胁分析方法，分析危害方式分析主要威胁来源及其威胁表现形式从最有可能发生且危害较大的威胁源和威胁形式入手分析信息系统暴露的明显脆弱性，判断最有可能被威胁源利用的方式和途径1920二、定级方法和流程综合判定侵害程度：如果受侵害客体是公民、法人或其他组织的合法权益，则以本人或本单位的总体利益作为判断侵害程度的基准。如果受侵害客体是社会秩序、公共利益或国家安全，则应以整个行业或国家的总体利益作为判断侵害程度的基准。21二、定级方法和流程第四步：确定业务信息安全等级和系统服务安全等级第五步：确定系统安全保护等级22二、定级方法和流程-例对象相关客体对客体的侵害程度等级信息A国家安全一般损害3社会秩序、公共利益严重损害3信息B公民、法人和其他组织的合法权益特别严重损害2服务C国家安全一般损害3社会秩序、公共利益特别严重损害4服务D公民、法人和其他组织的合法权益严重损害2多信息、多服务系统举例：23二、定级方法和流程系统等级调整信息系统的决策者或上级主管部门可根据系统的特殊安全需求进行等级调整，可以参考以下因素：上级主管部门在政策和管理方面的特殊要求；预测业务数据可能会随着时间的变化从量变转化为质变；随着信息系统所承载的业务不断完善和稳定，各种业务的取消或合并；信息系统服务范围随着业务的发展，将会有较大的变化。24内容一．基本概念和定级要素二．定级方法和流程三．备案工作要点25三、备案工作要点备案工作依据信息安全等级保护管理办法信息安全等级保护备案实施细则26三、备案工作要点实施细则第六条信息系统运营、使用单位或者其主管部门（以下简称“备案单位”）应当在信息系统安全保护等级确定后30日内，到公安机关公共信息网络安全监察部门办理备案手续。27三、备案工作要点管理办法第十五条隶属于中央的在京单位，其跨省或者全国统一联网运行并由主管部门统一定级的信息系统，由主管部门向公安部办理备案手续。跨省或者全国统一联网运行的信息系统在各地运行、应用的分支系统，应当向当地设区市级以上公安机关备案。28三、备案工作要点实施细则第三条隶属于中央的非在京单位的信息系统，由当地省级公安机关公共信息网络安全监察部门（或其指定的地市级公安机关公共信息网络安全监察部门）受理备案隶属于省级的备案单位，其跨地（市）联网运行的信息系统，由省级公安机关公共信息网络安全监察部门受理备案29三、备案工作要点实施细则第七条备案时应当提交《信息系统安全等级保护备案表》（以下简称《备案表》）（一式两份）及其电子文档。第二级以上信息系统备案时需提交《备案表》中的表一、二、三；第三级以上信息系统还应当在系统整改、测评完成后30日内提交《备案表》表四及其有关材料。30三、备案工作要点管理办法第十六条-三级系统备案材料（一）系统拓扑结构及说明；（二）系统安全组织机构和管理制度；（三）系统安全保护设施设计实施方案或者改建实施方案；（四）系统使用的信息安全产品清单及其认证、销售许可证明；（五）测评后符合系统安全保护等级的技术检测评估报告。（六）信息系统安全保护等级专家评审意见；（七）主管部门审核批准信息系统安全保护等级的意见。信息安全等级保护基本要求及要点讲解农业银行培训公安部信息安全等级保护评估中心任卫红32内容一．概述二．描述模型三．逐级增强的特点四．各级的要求五．标准的使用33概述“标尺”、达标线;基本的安全状态;保护的出发点;34概述34某级信息系统基本保护精确保护基本要求保护基本要求测评补充的安全措施GB17859-1999通用技术要求安全管理要求高级别的基本要求等级保护其他标准安全方面相关标准等等基本保护特殊需求补充措施35概述基本要求与其他标准的关系GB17859-1999是基础性标准，《基本要求》17859基础上的进一步细化和扩展，是根据现有技术的发展水平，提出和规定的不同安全保护等级信息系统的最低保护要求，。《定级指南》确定出系统等级以及业务信息安全性等级和业务服务保证性等级后，需要按照相应等级，根据《基本要求》选择相应等级的安全保护要求进行系统建设实施。《测评要求》是依据《基本要求》检验系统的各项保护措施是否达到相应等级的基本要求所规定的保护能力。36内容一．概述二．描述模型三．逐级增强的特点四．各级的要求五．标准的使用37描述模型不同级别信息系统不同级别安全威胁不同级别能力目标不同级别基本要求系统重要程度不同应对38描述模型第一级安全保护能力应具有能够对抗来自个人的、拥有很少资源（如利用公开可获取的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度弱、持续时间很短、系统局部范围等）、以及其他相当危害程度的威胁所造成的关键资源损害，并在威胁发生后，能够恢复部分功能。39描述模型第二级安全保护能力应具有能够对抗来自小型组织的（如自发的三两人组成的黑客组织）、拥有少量资源（如个别人员能力、公开可获或特定开发的工具等）的威胁源发起的恶意攻击、一般的自然灾难（灾难发生的强度一般、持续时间短、覆盖范围小（局部性）等）、以及其他相当危害程度（无意失误、设备故障等）的威胁所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功能。40描述模型第三级安全保护能力应具有能够对抗来自大型的、有组织的团体（如一个商业情报组织或犯罪组织等），拥有较为丰富资源（包括人员能力、计算能力等）的威胁源发起的恶意攻击、较为严重的自然灾难（灾难发生的强度较大、持续时间较长、覆盖范围较广（地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的较严重故障等）威胁的能力，并在威胁发生后，能够较快恢复绝大部分功能。41描述模型第四级安全保护能力应具有能够对抗来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难（灾难发生的强度大、持续时间长、覆盖范围广（多地区性）等）以及其他相当危害程度（内部人员的恶意威胁、设备的严重故障等）威胁的能力，并在威胁发生后，能够迅速恢复所有功能。。42描述模型物理安全技术要求管理要求基本要求网络安全主机安全应用安全数据安全及备份恢复安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理类43描述模型7第三级基本要求7.1技术要求7.1.1物理安全7.1.1.1物理位置的选择本项要求包括a)机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内b)机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁。。。。。。。类要求项控制点44描述模型控制点标注业务信息安全相关要求（标记为S）系统服务保证相关要求（标记为A）通用安全保护要求（标记为G）技术要求（3种标注）管理要求（统属G）45描述模型业务信息安全相关要求（S）身份鉴别访问控制数据完整性数据保密性系统服务保证相关要求（A）电力供应软件容错备份与恢复资源控制通用安全保护要求（G）管理要求和大部分技术要求46内容一．概述二．描述模型三．逐级增强的特点四．各级的要求五．标准的使用47逐级增强的特点控制点增加要求项增强要求增多范围增大要求细化或粒度细化48逐级增强的特点-控制点增加二级基本要求：在一级基本要求的基础上，技术方面，二级要求在控制点上增加了物理位置的选择、防静电、电磁防护、网络安全审计、网络入侵防范、边界完整性检查、主机安全审计、主机资源控制、应用资源控制、应用安全审计、通信保密性以及数据保密性等。管理方面，增加了审核和检查、管理制度的评审和修订、人员考核、密码管理、变更管理和应急预案管理等控制点。49逐级增强的特点-控制点增加三级基本要求：在二级基本要求的基础上，技术方面，在控制点上增加了网络恶意代码防范、剩余信息保护、软件容错、抗抵赖等。管理方面，增加了系统备案、安全测评、监控管理和安全管理中心等控制点。四级基本要求：在三级基本要求的基础上，技术方面，在系统和应用层面控制点上增加了安全标记、可信路径，50逐级增强的特点-要求项增强要求项增多，如，对“身份鉴别”，一级要求“进行身份标识和鉴别”，二级增加要求“口令复杂度、登录失败保护等”；而三级则要求“采用两种或两种以上组合的鉴别技术”。项目增加，要求增强。51逐级增强的特点-要求项增强范围增大，如，对物理安全的“防静电”，二级只要求“关键设备应采用必要的接地防静电措施”；而三级则在对象的范围上发生了变化，为“主要设